🇷🇺🇺🇦Резерв есть — но он не бесконечен: что происходит после переноса украинских сервисов в Европу

В первой части мы разобрали, как после повреждения украинских ЦОДов данные и вычисления могут уходить на зарубежные площадки. Но здесь есть принципиальный момент: наличие резервной копии ещё не означает, что сервис продолжает работать. Настоящая отказоустойчивость начинается только тогда, когда одновременно сохранены данные, вычисления и связность.

🔻Первое — транспорт
Между украинской площадкой и европейским резервом постоянно должна существовать сеть передачи данных. Причём нормальная архитектура не завязывается на один внешний канал или одного оператора. При аварии маршрутизация перестраивается, часть трафика уходит через другие магистрали и точки присутствия. Именно здесь становится понятно, почему уничтоженный серверный зал не обязательно означает исчезновение сервиса — если транспорт до резерва сохранился, нагрузка продолжает жить в другом месте.

🔻Второе — пользователя ещё необходимо перенаправить
Запустить виртуальные машины в другом ЦОДе недостаточно. Нужно сделать так, чтобы запросы пользователей начали приходить именно туда. Для этого используются DNS, балансировщики нагрузки, CDN, Anycast и другие механизмы распределения трафика. Получается простая цепочка: данные спасли → сервис подняли → трафик переключили. Без третьего пункта первые два мало что дают.

🔻Третий момент — RPO и RTO
У любого серьёзного Disaster Recovery есть два ключевых показателя.
▪️RPO — сколько данных допустимо потерять между последней синхронизацией и аварией.
▪️RTO — сколько времени требуется, чтобы вернуть сервис в работу.

У обычного backup RTO может измеряться часами. У подготовленного DR — минутами. В Active-Active переключение может происходить почти без заметного простоя. Именно поэтому два внешне одинаковых повреждения могут давать совершенно разные последствия. Разница не в «силе сервера», а в том, насколько заранее была построена аварийная архитектура.

🔻Четвёртое — Active-Active подходит далеко не всему
Здесь часто возникает заблуждение: будто любой сервис можно просто зеркалировать между двумя странами.

Нет.

Веб-фронтенды и статический контент распределяются относительно легко. Намного сложнее базы данных, государственные реестры, банковские транзакции и старые корпоративные системы, где критична строгая синхронизация. Чем жёстче требования к консистентности данных, тем сложнее и дороже географическое резервирование. Поэтому часть сервисов действительно способна пережить потерю ЦОДа почти незаметно, а часть всё равно требует восстановления и ручного вмешательства.

🔻Пятое — каждый переход на резерв уменьшает запас прочности
И вот это применительно к нынешней ситуации самое интересное. Резерв нужен на случай аварии. Но после аварии резерв становится рабочей инфраструктурой. То есть бывший backup превращается в production, и системе снова требуется создавать резерв уже для него. Потом начинается обратный процесс — failback: восстановление основной площадки, повторная синхронизация данных, возврат нагрузки и создание нового аварийного контура. Поэтому работающий после повреждения сервис ещё не означает, что инфраструктура осталась в прежнем состоянии.

🔻Шестое — деньги
Дополнительные ЦОДы, европейские облака, межрегиональный трафик, хранение нескольких копий, резервные каналы, лицензии и специалисты оплачиваются постоянно. Отказоустойчивость — это не один генератор и не один backup. Это инфраструктура, за которую приходится платить даже тогда, когда аварий нет.

🔻В этом и заключается главный вывод
После нынешних ударов правильный вопрос звучит уже не так: «Работает ли сайт?» Нужно спрашивать иначе: где он теперь работает, сколько резервных уровней пришлось задействовать и сколько запаса отказоустойчивости осталось после переключения? Сохранённые данные ещё не означают сохранённый сервис. Сохранённый сервис ещё не означает сохранённую архитектуру.

📌Если Вы владеете информацией, которая сможет помочь в оценке результатов ударов или любыми другими важными данным сообщайте в бот @don_partizan_bot

Тени Ꙃнают правду!
Ваш, ПартиꙂан!